钓鱼到底是什么？（一分钟讲清楚）
钓鱼就是一条冒充你信任的人发来的消息，比如你的银行、快递公司、Netflix、你的老板，甚至是你的朋友，目的是让你交出有价值的东西。通常是密码、一次性验证码、银行卡信息，或者只是让你点一下某个会偷偷装上恶意程序的链接。
钓鱼之所以屡禁不止，是因为成本太低了。骗子几乎不花钱就能发出一百万封邮件，只要有几个人上钩，就稳赚不赔。所以这类邮件追求的就是“快”：要你在思考之前先做出反应。说真的，停下来十秒钟就是你最好的防线，而下面这些危险信号，会告诉你这十秒钟里该看些什么。
12 个危险信号
1. 发件人地址和公司对不上
显示名称想写什么都行，“PayPal Support”不过是一串文字。真正要看的是名称后面的实际邮箱地址。点一下名称或者把鼠标悬停在上面，就能看到。
- 看起来没问题：
[email protected] - 危险信号：
[email protected] - 危险信号：
[email protected]
大公司都是用自己的域名发邮件的。它们不会用免费的 Gmail 或 Outlook 地址联系你，也不会在自家名字后面加上“secure”“verify”“account”之类的多余单词。
2. 域名拼写“以假乱真”
骗子会注册乍一看没毛病的域名：arnazon.com（r 和 n 连在一起像 m）、paypa1.com（用数字 1 代替小写字母 l），或者 micros0ft.com（用数字 0 代替字母 o）。在手机的小屏幕上，这些几乎看不出来，这也正是骗子爱用它们的原因。读域名的时候，请放慢速度，一个字母一个字母地看。
3. 催你、吓你
“您的账户将在 24 小时内被关闭。”“最后通知。”“我们将采取法律行动。”真正的公司很少会通过邮件给你来个倒计时。制造紧迫感，就是为了让你来不及思考。只要一封邮件让你感到着急或害怕，就把这种感觉本身当成一个警告信号。
4. 链接指向别的地方
按钮上也许写着“登录您的账户”，但它到底通向哪里？在电脑上，把鼠标悬停在链接上，看看浏览器角落里显示的地址。在手机上，长按链接就能预览，而不用真的打开。
- 邮件自称来自你的银行，链接却指向
secure-login-bank.xyz - 链接开头是正确的名字，真正的域名却藏在后面：
https://netflix.com.account-update.info/login（这里真正的网站是account-update.info，而不是 Netflix）
https://netflix.com.account-update.info/login 里，那就是 account-update.info。这才是你真正在打交道的对象。5. 千篇一律的称呼
“尊敬的客户”“亲爱的用户”“尊贵的会员您好”。你在一家公司有账户的话，它通常知道你的名字。光凭一个笼统的称呼不能证明邮件是假的，但如果再加上这份清单里的任何一个信号，就很可疑了。
6. 索要密码、验证码或银行卡信息
这条很简单：任何正规的银行、商店或邮箱服务商，都绝不会让你回复邮件告诉它密码、完整的卡号，或者它刚发到你手机上的一次性验证码。那个验证码存在的意义，就是只有你自己能用。不管是通过邮件、聊天还是电话，只要有人向你要它，那就是诈骗。每一次都是。
7. 意料之外的附件
“Invoice_0423.zip”“Payment_details.html”“Scanned_document.pdf.exe”。意料之外的附件，尤其是 ZIP 文件、HTML 文件，或者任何要你“启用编辑”“启用宏”的文件，都是植入恶意软件的经典手法。如果你没在等什么发票，那就别打开这张发票。
8. 好得令人难以置信
“恭喜您获得 iPhone 16。”“领取您的 500 美元礼品卡。”“您有一笔 1,240 美元的退税待领取。”你没参加过抽奖，自然也不会中奖。这类邮件通常会把你带到一个表单，以“支付运费”为由让你填写银行卡信息。
9. 奇怪的语法和排版（但别全靠它）
别扭的措辞、莫名其妙的大写字母、模糊的标志，过去是最容易识破的破绽。可如今，很多钓鱼邮件是用 AI 工具写的，看起来非常专业。所以，把语法错误当作额外的线索就好，千万别当成主要判断依据。写得很漂亮的邮件，照样可能是假的。
10. 回复地址和发件人不一样
有些钓鱼邮件从一个看起来很正规的地址发出，却悄悄设置了另一个“回复地址”（Reply-To）。你点了回复，你的回信就直接到了骗子手里。如果你准备回复任何敏感内容，先检查一下回信“收件人”一栏里的地址。
11. 你从没注册过的东西
一家你从没用过的快递公司发来的发货通知、一个你没申请过的密码重置、一张你没买过的东西的收据。骗子发这些邮件，就是希望你点进去“取消”或“申诉”这笔订单。别用邮件里的链接。如果你不放心，就打开那家公司的 App，或者自己输入它的网址。
12. 邮件应用给出的身份验证警告
Gmail、Outlook 和 Apple 邮件会在后台检查一封邮件是否真的来自它声称的域名。如果检查没通过，你可能会看到类似“此邮件可能并非来自其声称的发件人”的警告，或者发件人头像变成一个问号。请认真对待这些警告。如果你好奇这些检查是怎么运作的，我在 SPF、DKIM 和 DMARC 通俗讲解里用大白话解释过。
拆解一个以假乱真的示例
下面这种邮件，每天都在涌进大家的收件箱：
发件人：Amazon 客户服务 <[email protected]>
主题：需要您处理：您的订单 #112-8842 已被暂停
尊敬的客户：
我们无法验证您的付款信息。如果您未在 24 小时内确认您的信息，您的订单和账户将被取消。
[验证我的账户]
我们来数一数危险信号：
- 域名是
amaz0n-orders-support.com，用了数字 0，还多了几个单词。亚马逊不会从这种地方发邮件。 - 称呼是“尊敬的客户”，而不是你的名字。
- 24 小时的威胁。
- 一个你多半没印象的订单。
- 一个按钮，如果你长按一下，会发现它指向某个毫不相干的网站。
短短几行就有五个危险信号。正确的做法是：直接删除，或者自己打开亚马逊 App 看看你的订单。如果真有问题，那里一定会显示出来。
如果你已经点了
首先，别慌，也别觉得自己笨。做这些邮件的人，全职工作就是骗人。现在最重要的是赶紧行动：
- 如果你只是打开了邮件：几乎可以肯定没事。删掉就好。
- 如果你点了链接但什么都没输入：关掉那个页面。如果设备有安全扫描功能，就扫描一下。
- 如果你输入了密码：马上到真正的网站（自己输入网址）修改密码，并且在其他用了同一个密码的地方也一并修改。
- 如果你输入了银行卡信息：拨打银行卡背面的电话联系银行，请他们冻结这张卡。
- 如果你泄露了一次性验证码：立刻登录那个账户，修改密码，并退出所有其他登录会话。
- 如果还没开启的话，给你的邮箱、银行和购物账户开启两步验证。
举报它，这对大家都有帮助
使用邮件应用里的“举报网上诱骗”或“举报垃圾邮件”功能。在 Gmail 里，它在三个点的菜单中；在 Outlook 里，它在“报告”下面。这样能帮助训练保护着数百万人的过滤器。很多公司也有专门的举报地址，比如假冒 PayPal 的邮件可以转发到 [email protected]。在美国，你还可以向 FTC 举报：reportfraud.ftc.gov；在英国，可以发到 [email protected]。
从源头上减少钓鱼邮件
钓鱼邮件永远不可能降到零，但你可以让自己的收件箱不那么容易成为目标：
- 别把你的主邮箱地址交给每一个网站、抽奖活动和免费下载。它出现的地方越少，被收进的名单就越少。
- 一次性的注册，就用临时邮箱地址。就算那个网站以后被泄露或者把名单卖了，垃圾邮件也只会进入一个会自动消失的收件箱。
- 使用密码管理器。它不会在
paypa1.com上自动填入你的密码，所以它其实是个出奇好用的钓鱼检测器。 - 让手机和浏览器保持最新，因为更新会堵上恶意链接想要利用的漏洞。
如果你的邮箱地址已经出现在数据泄露中，可以看看邮箱遭遇数据泄露后该怎么办；日常习惯方面，可以参考这些邮箱隐私最佳实践。
十秒钟的习惯
如果这篇文章你只记住一件事，那就记住这个：当一封邮件催你赶快行动时，先停下来十秒钟。看看到底是谁发的，长按链接看它通向哪里，只要觉得哪里不对劲，就别点，自己去打开那个网站。这短短的停顿，就能挡住绝大多数的钓鱼邮件。
注意安全！如果你发现了清单里没有的高明钓鱼套路，我真的很想听听。我的联系方式就在下面。